分析 WordPress `wp_safe_redirect()` 函数源码：如何通过 `allowed_redirect_hosts` 过滤器设置重定向白名单。 - 智猿学院-前后端，数据库，人工智能，云计算等领域前沿技术讲座

呦吼！各位观众老爷们，今天咱们来聊聊WordPress里一个挺重要，但又容易被忽视的小家伙——wp_safe_redirect() 函数。这玩意儿关系到你网站的安全，弄不好就被黑客叔叔给拐跑了，所以必须得好好盘盘它。

咱们的重点是：如何通过 allowed_redirect_hosts 过滤器设置重定向白名单。说白了，就是告诉WordPress，哪些域名是可以安全地重定向过去的，哪些是必须挡驾的。

一、wp_safe_redirect()：门卫大爷的职责

首先，我们得认识一下wp_safe_redirect()这个函数。它的主要职责就是：

执行重定向：如果一切顺利，它会把用户导向一个新的URL。
安全检查：这是最重要的！它会检查目标URL是否安全，防止恶意重定向到钓鱼网站或者其他不怀好意的地方。

我们先来看看wp_safe_redirect()函数的简化版源码（为了方便理解，省去了一些不重要的细节）：

function wp_safe_redirect( $location, $status = 302 ) {
    $location = wp_sanitize_redirect( $location ); // 清理 URL

    if ( ! wp_validate_redirect( $location, home_url() ) ) {
        return false; // 验证失败，不重定向
    }

    wp_redirect( $location, $status );
    exit;
}

可以看到，wp_safe_redirect() 其实是调用了两个重要的函数：wp_sanitize_redirect() 和 wp_validate_redirect()。

wp_sanitize_redirect(): 负责清理URL，去除一些潜在的恶意代码，比如换行符、特殊字符等等。你可以理解为，给URL洗了个澡，让它看起来更干净。
wp_validate_redirect(): 这是安全检查的核心！它会判断目标URL是否在允许的白名单里。

二、wp_validate_redirect()：白名单的守护者

wp_validate_redirect() 函数才是咱们今天的主角，因为它负责判断URL是否安全。我们再来看看 wp_validate_redirect() 的简化版源码：

function wp_validate_redirect( $location, $default_redirect = '' ) {
    $location = wp_sanitize_redirect( $location );

    if ( ! $location ) {
        return false;
    }

    // 获取允许的域名白名单
    $allowed_hosts = apply_filters( 'allowed_redirect_hosts', array(
        wp_parse_url( home_url(), PHP_URL_HOST )
    ) );

    $parsed_url = wp_parse_url( $location );

    if ( ! isset( $parsed_url['host'] ) ) {
        $location = wp_http_validate_url( $location );
        if ( false === $location ) {
            return false;
        }
        $parsed_url = wp_parse_url( $location );
    }

    if ( ! isset( $parsed_url['host'] ) ) {
        return false;
    }

    $validate = in_array( $parsed_url['host'], $allowed_hosts, true );

    if ( $validate ) {
        return $location; // 在白名单里，安全！
    } elseif ( $default_redirect ) {
        $validate = wp_validate_redirect( $default_redirect );
    }

    return $validate;
}

注意看这段代码：

$allowed_hosts = apply_filters( 'allowed_redirect_hosts', array(
    wp_parse_url( home_url(), PHP_URL_HOST )
) );

这里使用了 apply_filters( 'allowed_redirect_hosts', ...) 。这意味着我们可以通过 allowed_redirect_hosts 过滤器 来修改允许重定向的域名白名单。

默认情况下，白名单里只有一个域名，就是你网站的域名（通过 home_url() 获取）。

三、allowed_redirect_hosts：白名单的修改器

现在，重点来了！我们如何利用 allowed_redirect_hosts 过滤器来添加我们信任的域名到白名单里呢？

方法很简单，就是在你的主题的 functions.php 文件，或者一个自定义插件里，添加如下代码：

/**
 * 添加允许重定向的域名到白名单.
 *
 * @param string[] $hosts 允许重定向的域名列表.
 * @return string[] 修改后的域名列表.
 */
function my_custom_allowed_redirect_hosts( $hosts ) {
    $hosts[] = 'example.com'; // 添加 example.com 到白名单
    $hosts[] = 'www.example.com'; // 最好也添加 www.example.com
    $hosts[] = 'secure.example.net'; // 添加 secure.example.net 到白名单

    return $hosts;
}
add_filter( 'allowed_redirect_hosts', 'my_custom_allowed_redirect_hosts' );

这段代码做了什么呢？

定义一个函数：my_custom_allowed_redirect_hosts()，这个函数接收一个参数 $hosts，它是一个数组，包含了当前允许重定向的域名列表。
修改域名列表：在函数内部，我们使用 $hosts[] = 'example.com'; 的方式，向数组中添加了新的域名。
注册过滤器：使用 add_filter( 'allowed_redirect_hosts', 'my_custom_allowed_redirect_hosts' ); 将我们的函数注册到 allowed_redirect_hosts 过滤器上。

这样，每次 wp_validate_redirect() 函数获取允许的域名列表时，都会先执行我们的 my_custom_allowed_redirect_hosts() 函数，将我们添加的域名加入到白名单里。

四、举个栗子：电商网站的需求

假设你是一个电商网站，需要重定向用户到支付宝或者微信支付的页面进行支付。这些支付页面的域名显然不在你自己的网站域名下。

那么，你就可以这样修改白名单：

function my_custom_allowed_redirect_hosts( $hosts ) {
    $hosts[] = 'mapi.alipay.com'; // 支付宝支付域名
    $hosts[] = 'wx.tenpay.com'; // 微信支付域名

    return $hosts;
}
add_filter( 'allowed_redirect_hosts', 'my_custom_allowed_redirect_hosts' );

添加了这些域名后，你就可以安全地将用户重定向到支付宝或者微信支付页面了。

五、注意事项：安全第一！

虽然添加白名单可以让你更灵活地进行重定向，但是一定要注意安全！

只添加你完全信任的域名：不要随意添加一些来路不明的域名，否则可能会被黑客利用进行钓鱼攻击。
仔细检查域名：确保你添加的域名是正确的，不要写错或者拼错，否则可能会导致重定向失败，或者更糟糕的是，重定向到错误的网站。
定期审查白名单：随着业务的变化，你可能需要定期审查白名单，删除不再需要的域名，添加新的域名。

六、代码示例：完整的实现

下面是一个完整的代码示例，展示了如何使用 wp_safe_redirect() 和 allowed_redirect_hosts 过滤器来实现安全的重定向：

<?php

/**
 * 添加允许重定向的域名到白名单.
 *
 * @param string[] $hosts 允许重定向的域名列表.
 * @return string[] 修改后的域名列表.
 */
function my_custom_allowed_redirect_hosts( $hosts ) {
    $hosts[] = 'example.com';
    $hosts[] = 'www.example.com';
    $hosts[] = 'secure.example.net';

    return $hosts;
}
add_filter( 'allowed_redirect_hosts', 'my_custom_allowed_redirect_hosts' );

/**
 * 安全地重定向到指定URL.
 *
 * @param string $url 目标URL.
 */
function my_safe_redirect( $url ) {
    if ( wp_safe_redirect( $url ) ) {
        exit; // 确保脚本停止执行
    } else {
        // 重定向失败的处理
        echo '重定向失败，请检查URL是否安全。';
    }
}

// 使用示例
$redirect_url = 'https://example.com/some-page'; // 安全的URL
// $redirect_url = 'https://evil.com/phishing'; // 危险的URL，会被阻止

my_safe_redirect( $redirect_url );

?>

七、总结：白名单的艺术

wp_safe_redirect() 函数是WordPress里一个非常重要的安全机制，它可以防止恶意重定向，保护你的网站和用户的安全。而 allowed_redirect_hosts 过滤器则赋予了我们修改重定向白名单的能力，让我们能够更灵活地进行重定向。

但是，一定要记住，安全是第一位的！在使用 allowed_redirect_hosts 过滤器时，一定要慎之又慎，只添加你完全信任的域名，并定期审查白名单，确保你的网站始终处于安全的状态。

八、进阶思考：更加灵活的白名单管理

上面的例子只是简单地将域名硬编码到代码里。在实际应用中，我们可能需要更灵活的白名单管理方式。

比如，我们可以：

从数据库读取白名单：将允许的域名存储在数据库中，方便动态修改。
使用选项页面管理白名单：创建一个选项页面，让管理员可以通过后台界面来添加和删除域名。
根据用户角色设置白名单：允许不同角色的用户重定向到不同的域名。

这些更高级的技巧，就留给各位观众老爷们自己去探索和研究了。

九、常见问题解答（FAQ）

问题	答案
`wp_safe_redirect()` 和 `wp_redirect()` 有什么区别？	`wp_redirect()` 直接执行重定向，不做任何安全检查。`wp_safe_redirect()` 会先进行安全检查，确保目标URL在白名单里，更安全。
我添加了域名到白名单，但是重定向还是失败，为什么？	可能是以下原因：1. 域名拼写错误。2. `wp_sanitize_redirect()` 函数清理了你的URL，导致验证失败。3. 你的服务器配置有问题，导致重定向无法正常工作。
我应该把修改白名单的代码放在哪里？	建议放在你的主题的 `functions.php` 文件里，或者一个自定义插件里。
我可以完全禁用 `wp_safe_redirect()` 的安全检查吗？	不建议！这样做会大大降低你网站的安全性。如果确实需要这样做，可以使用 `remove_filter( 'allowed_redirect_hosts', 'my_custom_allowed_redirect_hosts' );` 移除你添加的过滤器，或者直接移除默认的过滤器（不推荐）。

好了，今天的讲座就到这里。希望大家都能掌握 wp_safe_redirect() 和 allowed_redirect_hosts 过滤器的使用方法，让你的WordPress网站更加安全可靠！记得点赞关注哦！咱们下期再见！

发表回复 取消回复

发表回复取消回复